Дело C‑534/20

Leistritz AG

срещу

LH

(Преюдициално запитване, отправено от Bundesarbeitsgericht)

Решение на Съда (първи състав) от 22 юни 2022 година

„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Член 38, параграф 3, второ изречение — Длъжностно лице по защита на данните — Забрана за администратора или за обработващия лични данни да освобождава от длъжност или да санкционира длъжностно лице по защита на данните за изпълнението на неговите задачи — Правно основание — Член 16 ДФЕС — Изискване за функционална независимост — Национална правна уредба, която забранява уволнението на длъжностно лице по защита на данните, ако липсва сериозно основание“

Защита на физическите лица във връзка с обработването на лични данни — Регламент 2016/679 — Длъжностно лице по защита на данните — Функция — Забрана за администратора или за обработващия лични данни да освобождава от длъжност или да санкционира длъжностно лице по защита на данните за изпълнението на неговите задачи — Национална правна уредба, която забранява уволнението на длъжностно лице по защита на данните, ако липсва сериозно основание — Уволнение, което не е свързано с изпълнението на задачите на това длъжностно лице — Допустимост — Условие — Спазване на предвидените с този регламент цели

(член 38, параграф 3, второ изречение от Регламент 2016/679 на Европейския парламент и на Съвета)

(вж. т. 21—36 и диспозитива)

Резюме

От 1 февруари 2018 г. LH изпълнява функциите на длъжностно лице по защита на данните в дружеството Leistritz AG. Това дружество е задължено съгласно германската правна уредба да определи длъжностно лице по защита на данните. През юли 2018 г. Leistritz уволнява LH с предизвестие, като се обосновава с преструктуриране, при което защитата на данните като дейност вместо на вътрешни е възложена на външни изпълнители.

Съдът, пред който LH оспорва уволнението си, признава същото за нищожно. Всъщност съгласно разпоредбите на германското федерално законодателство LH, поради качеството си на длъжностно лице по защита на данните, само може да бъде уволнена без предизвестие при наличие на сериозно основание за това. Преструктурирането на Leistritz обаче не представлявало такова основание.

След като Leistritz сезира Bundesarbeitsgericht (Федерален трудов съд, Германия), тази юрисдикция иска да се установи дали Общият регламент за защита на данните ( 1 ) допуска правна уредба на държава членка, която обвързва уволнението на длъжностно лице по защита на данните с по-строги от предвидените в правото на Съюза изисквания.

В решението си Съдът приема, че член 38, параграф 3, второ изречение от ОРЗД ( 2 ) допуска национална правна уредба, съгласно която администраторът или обработващият лични данни може да уволни длъжностно лице по защита на данните, което е член на персонала му, само при наличие на сериозно основание. Това важи дори когато уволнението не е свързано с изпълнението на задачите на това длъжностно лице, стига тази правна уредба да не застрашава постигането на целите на ОРЗД.

Съображения на Съда

На първо място, Съдът подчертава, че съгласно член 38, параграф 3, второ изречение от ОРЗД забраната администраторът или обработващият лични данни да освобождават от длъжност или да санкционират длъжностно лице по защита на данните, означава, че това лице трябва да бъде защитено срещу всяко решение, с което се прекратяват функциите му, което го поставя в неизгодно положение или което представлява санкция. Такова решение съответно може да бъде решението, с което работодателят на длъжностно лице по защита на данните го уволнява и с което се прекратява съществуващото между тях трудово правоотношение. Що се отнася до това трудово правоотношение, Съдът уточнява, че член 38, параграф 3, второ изречение от ОРЗД се прилага както за длъжностното лице по защита на данните, което е член на персонала на администратора или на обработващия лични данни, така и за длъжностното лице по защита на данните, което изпълнява задачите си въз основа на сключен с последните договор за услуга. Следователно тази разпоредба се прилага към отношенията между длъжностно лице по защита на данните и администратор или обработващ лични данни, независимо от естеството на трудовото правоотношение между това лице и последните. Освен това същата разпоредба предвижда ограничение, което се изразява в забрана за уволнение на длъжностно лице по защита на данните на основание, свързано с изпълнението на неговите задачи ( 3 ).

На второ място, що се отнася до целта, преследвана с член 38, параграф 3, второ изречение от ОРЗД, съгласно този регламент ( 4 ) длъжностните лица по защита на данните, независимо от това дали са служители на администратора, следва да бъдат в състояние да изпълняват своите задължения и задачи независимо, в съответствие с целта на ОРЗД ( 5 ). Така, целта да се гарантира функционалната независимост на длъжностното лице по защита на данните ( 6 ) предполага това лице да не получава никакви указания във връзка с изпълнението на задачите си, да се отчита пряко пред най-висшето ръководно ниво на администратора или обработващия лични данни и да е длъжно да опазва професионалната тайна или поверителността. Следователно член 38, параграф 3, второ изречение от ОРЗД по същество цели да обезпечи функционалната независимост на длъжностното лице по защита на данните, тъй като го закриля срещу всяко решение, което прекратява функциите му, поставя го в по-неизгодно положение или представлява санкция. Тази разпоредба същевременно няма за предмет цялостното уреждане на трудовите правоотношения между администратора или обработващия лични данни и членовете на неговия персонал.

Що се отнася, на трето и последно място, до контекста, в който се вписва член 38, параграф 3, второ изречение от ОРЗД, Съдът уточнява, че извън предвидената в тази разпоредба специална закрила на длъжностното лице по защита на данните закрилата срещу уволнение на длъжностно лице по защита на данните, което е служител на администратор или обработващ лични данни, не е предмет на правила, приемани на основание на ОРЗД ( 7 ), а е въпрос от областта на социалната политика. Съюзът и държавите членки обаче разполагат със споделена компетентност ( 8 ) в тази област. Всъщност Съюзът подкрепя и допълва дейностите на държавите членки в областта на закрилата на работниците при прекратяване на трудовия договор, като приема минимални изисквания в това отношение. Следователно при упражняването на компетентността си всяка държава членка е свободна да установява специални разпоредби, които дават по-голяма закрила във връзка с уволнението на длъжностното лице по защита на данните, стига тези разпоредби да са съвместими с разпоредбите на ОРЗД. По-конкретно, подобна засилена закрила не бива да застрашава постигането на целите на ОРЗД. Такъв би бил случаят, ако тя е пречка администраторът или обработващият лични данни да уволни всяко длъжностно лице по защита на данните, което вече не притежава необходимите професионални качества, за да изпълнява задачите си, или което не изпълнява същите в съответствие с разпоредбите на ОРЗД.

( 1 ) Вж. по-специално член 38, параграф 3, второ изречение от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/EО (Общ регламент относно защитата на данните) (ОВ L 119, 2016 г., стр. 1 и поправка в ОВ L 127, 2018 г., стр. 2; наричан по-нататък „ОРЗД“).

( 2 ) Съгласно член 38, параграф 3, второ изречение от ОРЗД длъжностното лице по защита на данните не може да бъде освобождавано от длъжност, нито санкционирано от администратора или обработващия лични данни за изпълнението на своите задачи.

( 3 ) Съгласно член 39, параграф 1, буква б) от ОРЗД тези задачи включват в частност наблюдение дали се спазват уреждащите защитата на данни разпоредби на правото на Съюза или на правото на държавите членки, както и политиките на администратора или обработващия лични данни по отношение на защитата на личните данни.

( 4 ) И по-специално съображение 97 от ОРЗД.

( 5 ) Видно от съображение 10 от ОРЗД, той цели да гарантира високо ниво на защита на физическите лица в Съюза.

( 6 ) Както тя произтича от член 38, параграф 3, първо, второ и трето изречение и параграф 5 от ОРЗД.

( 7 ) Член 16, параграф 2 ДФЕС, правно основание на ОРЗД, позволява да се приемат правила относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни.

( 8 ) Съгласно член 4, параграф 2, буква б) ДФЕС.